Nors kopijavimo paketai ir rašybos klaidų taisymas yra susijusios sąvokos, jos nėra tas pats. Abi apima apgaulingą taktiką, kuria siekiama apgauti vartotojus ir priversti juos atsisiųsti kenkėjišką programinę įrangą, tačiau tai daroma šiek tiek skirtingais būdais. Pateikiame išsamų kiekvieno iš jų paaiškinimą:
Raštu rašoma
Spausdinimo klaidų taisymas – tai domenų vardų ar paketų pavadinimų, kurie yra labai panašūs į teisėtus ir dažnai skiriasi tik spausdinimo klaida, registravimas. Tikslas – apgauti vartotojus, kurie daro klaidų rašydami URL ar paketo pavadinimą, nukreipdami juos į kenkėjiškas svetaines ar programinę įrangą, o ne į numatytas teisėtas svetaines.
Pavyzdys:
Teisėtas paketas: išreikšti.
Pakuotės variantai su klaidomis: išreikšti (trūksta „s“), ekspresai(papildomi „s“), or ekspresas (dviguba „e“).
Realaus pasaulio atvejų rašybos klaidos:
2018 m. lapkritį saugumo tyrėjai aptiko ir pašalino kenkėjišką „JavaScript“ paketą, vadinamą „flatmap-stream“ iš NPM ekosistemos. Užpuolikas įdiegė kenkėjišką modifikaciją į šį paketą, o vėliau pridėjo ją kaip tiesioginę priklausomybę nuo populiaraus „event-stream“ paketo. Vartotojai šią kenkėjišką „flatmap-stream“ versiją atsisiuntė beveik 8 milijonus kartųKūrėjai, kurie naudojo pažeistą įvykių srauto paketą, netyčia užsikrėtė kenkėjišku kodu.
Čia dėmesys sutelkiamas į nedideles rašybos klaidas arba variantus, kurie išnaudoja įprastas spausdinimo klaidas.
Kopijavimo paketai
Kopijuojami paketai – tai kenkėjiškų paketų, imituojančių populiarius ir teisėtus paketus, kūrimas. Visų pirma, ši imitacija gali būti ne tik nedidelės rašybos klaidos, bet ir apimti panašius pavadinimus, aprašymus, dokumentaciją ir funkcijas, kad kenkėjiškas paketas atrodytų teisėtas ir patikimas.
Pavyzdys:
Teisėtas paketas: lodash
Kopijavimo paketų variantai: „lodashjs“, „lodash“ įrankiaiarba net paketą tuo pačiu pavadinimu, bet įkeltą kito autoriaus į mažiau saugią saugyklą
Realus atvejis:
Apsvarstykite populiarią atvirojo kodo PHP pagrindu sukurtą „Laravel“ programą, vadinamą „laravel-realworld-example-app“. Šioje programoje yra realaus pasaulio „RealWorld“ API specifikacijos pavyzdžių (CRUD operacijos, autentifikavimas, išplėstiniai šablonai ir kt.). Nors teisėtas paketas naudojamas kaip nuoroda, kopijavimo paketas galėtų jį imituoti naudodamas panašų pavadinimą (pvz., „laravel-realworld-example-apps“ arba „laravel-realworld-examples“). Tokiuose kopijavimo paketuose gali būti panašių funkcijų, aprašymų ir net dokumentacijos, taip apgaudinėjant kūrėjus naudoti juos, o ne autentišką versiją.
Čia dėmesys sutelkiamas į platesnę imitaciją, apimančią ne tik pavadinimus, bet ir teisėto paketo pateikimo bei funkcionalumo aspektus.
Pagrindiniai skirtumai
Skirta:
Spausdinimo klaidas daugiausia taiko vartotojų padarytas spausdinimo klaidas.
Kopijavimo paketai siekia plačiau imituoti teisėtus paketus, galbūt įtraukdami panašius pavadinimus, aprašymus ir funkcijas.
Imitacijos apimtis:
Spausdinimo klaida paprastai atliekama nedideliais paketo pavadinimo pakeitimais.
Kopijavimo paketai gali būti išsamesni, todėl atrodo dar įtikinamiau.
Persidengimas
Šios dvi sąvokos sutampa, nes spausdinimo klaidų taisymo paketai gali būti laikomi kopijavimo paketų pogrupiu. Abi taktikos siekia apgauti vartotojus, kad jie įdiegtų kenkėjišką programinę įrangą, tačiau spausdinimo klaidų taisymas išnaudoja įprastas spausdinimo klaidas, o kopijavimo paketai gali naudoti platesnį imitavimo strategijų spektrą.
Švelninimo strategijos
Siekdamos veiksmingai apsisaugoti nuo rašybos klaidų ir paketų kopijavimo, organizacijos turėtų taikyti daugiaaspektį požiūrį, apimantį tradicines strategijas ir pažangius sprendimus, tokius kaip mūsų KsigeniOpen Source Security Sprendimas. Štai pagrindinės strategijos, kaip sumažinti šią riziką:
- Naudokite patikimus šaltiniusVisų pirma, visada atsisiųskite paketus iš patikimų ir patikrintų šaltinių arba oficialių saugyklų, kad užtikrintumėte autentiškumą.
- Priklausomybės prisegimasBe to, prisekite priklausomybes prie konkrečių, patikrintų versijų, kad išlaikytumėte nuoseklumą ir saugumą visuose diegimuose.
- Automatizuoti įrankiaiBe to, naudokite automatinius įrankius, tokius kaip „Xygeni“, kad efektyviai nuskaitytumėte ir pažymėtumėte įtartinus paketus. Pažangios „Xygeni“ aptikimo galimybės sukurtos taip, kad veiksmingai identifikuotų ir valdytų įtartinas priklausomybes, taip užtikrinant papildomą saugumo lygį.
- Rankinis patikrinimasBe to, automatinius įrankius papildykite rankiniu patikrinimu, ypač naujai pridėtų paketų arba tų, kurie neseniai buvo iš esmės atnaujinti.
- Vardų srities rezervavimasKad išvengtumėte kenkėjiškų veikėjų užgrobimo, registruokite ir kontroliuokite vardų erdvių paketus viešosiose saugyklose. Ši prevencinė priemonė užtikrina, kad su jūsų organizacijos vardų erdve būtų susieti tik autorizuoti atnaujinimai ir paketai.
Integruodamos šias strategijas su patikimomis mūsų „Xygeni“ įrankių galimybėmis, organizacijos gali sustiprinti savo apsaugą nuo besikeičiančių spausdinimo klaidų ir paketų kopijavimo grėsmių, taip padidindamos bendrą savo programinės įrangos tiekimo grandinės saugumą.
